Arabie saoudite

NCA Essential Cybersecurity Controls

Les contrôles essentiels de cybersécurité (Essential Cybersecurity Controls) constituent le socle minimal fixé par l'Autorité nationale de cybersécurité saoudienne pour les entités gouvernementales et les organisations qui possèdent ou exploitent des infrastructures nationales critiques. Publiés en 2018 et révisés en 2024, les ECC organisent plus d'une centaine de contrôles en cinq domaines : gouvernance, défense, résilience, tiers et informatique en nuage, et systèmes de contrôle industriel. Les organisations évaluent leur conformité et la rapportent à la NCA.

Les ECC demandent si chaque contrôle est mis en œuvre et efficace. DECIMA répond à partir du système, pas de la politique.

En bref

Émis par

Autorité nationale de cybersécurité (NCA), Arabie saoudite

S'applique à

Les entités gouvernementales et les organisations qui possèdent, exploitent ou hébergent des infrastructures nationales critiques, y compris les opérateurs du secteur privé

En vigueur

ECC-1 depuis 2018 ; la version révisée ECC-2 publiée en 2024

Supervisé par

La NCA, par des évaluations de conformité et des rapports

Ce que la réglementation exige

Les obligations telles que le référentiel les énonce, dans l'ordre où un programme y répond.

1. 01

   Gouvernance de la cybersécurité

   Stratégie, gestion, politiques, rôles, gestion des risques, sécurité des projets et des changements, conformité, audit, sécurité des ressources humaines et sensibilisation.

2. 02

   Défense en cybersécurité

   Gestion des actifs, identités et accès, protection des systèmes d'information et des installations de traitement, sécurité de la messagerie et du réseau, appareils mobiles, protection des données, cryptographie, sauvegarde, gestion des vulnérabilités et tests de pénétration, journalisation et surveillance des événements, gestion des incidents et des menaces, et sécurité physique.

3. 03

   Résilience en cybersécurité

   La cybersécurité intégrée à la gestion de la continuité d'activité, avec des capacités de reprise testées.

4. 04

   Tiers et informatique en nuage

   Des exigences de cybersécurité pour les prestataires tiers et les services cloud, y compris les conditions de localisation des données et d'hébergement.

5. 05

   Systèmes de contrôle industriel

   Des contrôles pour les technologies opérationnelles et les environnements de contrôle industriel lorsque l'organisation en exploite.

Comment DECIMA le prouve

Chaque exigence reçoit une réponse issue des systèmes en production, sous forme d'enregistrement daté et re-vérifiable, et non d'un questionnaire rempli pour l'évaluation.

• Les contrôles de défense lus en continu

  Les contrôles d'identité, de réseau, de terminaux, de journalisation, de sauvegarde et de vulnérabilités sont lus selon un calendrier depuis les systèmes qui les exécutent, chaque lecture étant conservée avec son horodatage et la version des ECC appliquée.

• L'évaluation produite à partir de l'enregistrement

  L'évaluation de conformité rapportée à la NCA est générée contrôle par contrôle à partir de preuves datées, plutôt qu'à partir d'un questionnaire rempli pour l'évaluation.

• Les conditions relatives aux tiers et au cloud prouvées

  Les évaluations des prestataires, les lieux d'hébergement et les conditions contractuelles sont conservés sous forme d'enregistrements structurés, reliés aux contrôles qu'ils satisfont.

• Les tests de continuité enregistrés

  Les tests de reprise sont enregistrés avec leur périmètre, leurs résultats et leur remédiation, reliés aux contrôles de résilience qu'ils ont exercés.

04

Les questions que posent les acheteurs

Des réponses courtes que vous pouvez citer.